Ochrona przed ransomware Łódź

Ile pracy przepada razem z jednym dniem w magazynie

W biurze rachunkowym utrata dnia oznacza dokumenty do wprowadzenia drugi raz. W hali oznacza coś innego, bo dane nie powstają tam przy biurku, tylko przy regale, w tempie skanowania kodów.

Jedna zmiana to setki zdarzeń zapisanych przez kilkanaście osób: przyjęcia dostaw, przesunięcia międzymagazynowe, kompletacje, spakowane paczki, nadania u przewoźników i zwroty. Utrata tego zapisu nie kończy się na braku historii. Kończy się tym, że stan w systemie przestaje odpowiadać temu, co fizycznie leży na regale, a część towaru jest już w drodze do klientów, o czym system nie wie.

Odtworzenie serwera jest wtedy prostszą częścią pracy. Trudniejsza zaczyna się później i polega na doprowadzeniu stanu magazynowego do rzeczywistości, przy pracującej hali i przy zamówieniach, które wpadają dalej.

Co znaczy każdy wariant harmonogramu kopii

Odstęp między punktami	Co tracicie przy ataku po południu	Ile trwa nadrobienie
Raz na dobę, w nocy	całą zmianę razem z nadaniami	inwentaryzacja różnicowa, zwykle kilka dni
Co dwanaście godzin	pół zmiany i część kompletacji	ręczne wprowadzenie z dokumentów przewozowych
Co cztery godziny	fragment zmiany, zwykle jeden sektor	porównanie z listami przewozowymi, kilka godzin
Co godzinę	pojedyncze operacje	poprawki przy pierwszej inwentaryzacji
Kopia plików bez bazy	wszystko, co system trzyma w bazie	odtworzenie nie jest w ogóle możliwe
Kopia na tym samym serwerze	całość, bo szyfrowanie obejmuje oba miejsca	powrót wyłącznie z drugiego egzemplarza
Kopia bez próby odtworzenia	nie wiadomo, dopóki nie spróbujecie	ustalane w najgorszym możliwym momencie

Dwa ostatnie wiersze są w tej tabeli najważniejsze, bo opisują sytuacje, w których kopia formalnie istnieje, a firma i tak nie ma z czego wrócić. Raport z zadania świeci wtedy na zielono przez lata i nikt nie ma powodu w niego zaglądać.

Odstęp dobieramy jednym pytaniem: jak długi odcinek pracy jesteście w stanie odtworzyć ręcznie, z dokumentów, które zostały poza systemem. Odpowiedź wyznacza harmonogram lepiej niż jakakolwiek reguła zapisana w podręczniku.

Dlaczego repozytorium musi stać poza zasięgiem konta administratora

Typowy przebieg nie zaczyna się od szyfrowania. Zaczyna się od przejęcia konta z uprawnieniami, od rozejrzenia się po środowisku i od usunięcia kopii, bo bez tego kroku ofiara ma wybór i nie zapłaci. Szyfrowanie jest ostatnie i wtedy sprawa jest już rozstrzygnięta.

Repozytorium budujemy więc tak, żeby konto przejęte w Waszej sieci nie miało do niego żadnej drogi. Zapis blokowany na zadany okres, osobne poświadczenia niepochodzące z domeny oraz brak logowania z konta, którym administrator pracuje na co dzień. Pracujemy na Veeam z utwardzonym repozytorium Linux, na Proxmox Backup Server z ochroną migawek albo na przestrzeni obiektowej z blokadą obiektów, zależnie od tego, na czym stoi środowisko.

Do tego dochodzi drugi egzemplarz poza budynkiem magazynu. W hali po dawnej fabryce ma to dodatkowy sens, bo instalacja elektryczna i przeciwpożarowa bywa tam dokładana warstwami, a kopia dzieląca z danymi budynek dzieli z nimi także to ryzyko.

Co ustalamy, zanim cokolwiek się wydarzy

Dwie rzeczy, obie po to, żeby pierwsze godziny nie były improwizacją. Pierwsza to kolejność powrotu, zatwierdzona przez właściciela, a nie ustalana przez zespół techniczny w dniu zdarzenia. Inżynier odtwarza naturalnie od tego, co najprostsze, bo daje to poczucie postępu. Firma potrzebuje czegoś innego, zwykle systemu, bez którego nie da się wydać ani jednej paczki.

Druga to lista danych, które zmiana musi mieć pod ręką, zanim wróci pierwszy system. Plan wysyłek na najbliższą dobę, zlecenia do skompletowania i kontakty do przewoźników, trzymane poza środowiskiem produkcyjnym i odświeżane automatycznie. Bez tego magazyn stoi nie dlatego, że nie ma towaru, tylko dlatego, że nikt nie wie, co dzisiaj miało wyjechać.

Zapisujemy też podział ról: kto prowadzi sprawę techniczną, kto rozmawia z klientami, kto decyduje o kolejności odtwarzania. Ustalenie tego przed zdarzeniem kosztuje jedno spotkanie, a w trakcie oszczędza pół dnia.

Czego dowiaduje się firma po pierwszej próbie powrotu

Plan zapisany w dokumencie zakłada, że poświadczenia są aktualne, obraz maszyny się uruchomi, a integracje ożyją same. Próba sprawdza to naprawdę i kończy się listą rzeczy, które ją wywróciły.

W firmach handlujących przez internet powtarzają się cztery. Kopia obejmowała pliki bazy, ale nie jej ustawień. Klucze do połączeń z przewoźnikami leżały wyłącznie w środowisku, które właśnie odtwarzacie. Integracja z platformą sprzedaży wymagała ponownej autoryzacji po stronie platformy. Odtworzenie poszło szybko, natomiast sprawdzenie poprawności danych zajęło pół dnia, bo nikt nie był wskazany do potwierdzenia, że system zawiera to, co powinien.

Próbę prowadzimy raz na kwartał, na osobnym środowisku, obok produkcji, w środku tygodnia i poza szczytem. Od Waszej strony potrzebujemy jednej osoby, która potwierdzi zawartość odtworzonego systemu, bo tego nie ocenimy za Was.

Czego ta usługa nie załatwia

Nie zatrzyma każdej próby wejścia i nie jest po to zbudowana. Cała konstrukcja stoi na założeniu, że jedna próba kiedyś się powiedzie, a wtedy liczy się to, z czego i jak szybko wracacie.

Nie prowadzimy rozmów z osobami stojącymi za atakiem i nie obsługujemy żadnych płatności na ich rzecz. Zabezpieczaniem materiału dowodowego dla sądu i biegłych również się nie zajmujemy, bo wymaga to innego warsztatu niż odtwarzanie środowiska.

Nie sprzedajemy też całodobowej reakcji człowieka w kwocie miesięcznej. Nadzór techniczny trwa przez całą dobę, decyzje podejmuje inżynier w godzinach pracy helpdesku, a dyżur poza nimi kupuje się osobno i ustala z wyprzedzeniem.

Od czego zacząć porządki, pokaże audyt bezpieczeństwa IT. Sprzęt w hali i w biurze obejmuje konsolą ochrona stacji roboczych i serwerów, a obowiązki wynikające z przepisów o ciągłości działania rozpisuje NIS 2. Pierwszą próbę powrotu umówimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026